Una contraseña comprometida de Microsoft 365 puede ser suficiente para exponer correos electrónicos, archivos compartidos, facturas y accesos administrativos. Configurar autenticación multifactor en Microsoft 365 no consiste simplemente en añadir una restricción de inicio de sesión: es una medida de defensa prioritaria contra el phishing, la reutilización de contraseñas y la toma de control de cuentas.
Para una PYME o una empresa de tamaño mediano, el objetivo es obtener una protección elevada sin bloquear los equipos ni crear una carga de soporte innecesaria. El enfoque correcto se basa en una preparación rigurosa, métodos de autenticación adaptados a los perfiles y reglas de acceso controladas en el tiempo.
Por qué la autenticación multifactor se ha vuelto indispensable
Los ataques no se dirigen solo a las grandes organizaciones. Los ciberdelincuentes explotan credenciales expuestas durante filtraciones de datos, portales falsos de Microsoft 365, archivos adjuntos maliciosos y solicitudes de pago fraudulentas. Cuando un colaborador ingresa su contraseña en una página de suplantación de identidad, un control adicional puede prevenir la intrusión.
La autenticación multifactor, o MFA, requiere al menos dos elementos de prueba: algo que el usuario conoce, como su contraseña, y algo que posee o que es, como una aplicación de autenticación, una clave de seguridad o una huella biométrica. Incluso si la contraseña es robada, el atacante no dispone automáticamente del segundo factor.
Esta protección no hace el entorno invulnerable. Algunas campañas de phishing buscan interceptar códigos temporales o empujar a un usuario cansado a validar una notificación. Por eso la elección del método, las reglas de acceso condicional y la vigilancia de conexiones son tan importantes como la activación inicial.
Antes de configurar la autenticación multifactor en Microsoft 365
Una activación apresurada puede impedir que cuentas técnicas funcionen o provocar un aluvión de solicitudes al soporte. Antes de aplicar una regla en toda la organización, establezca una visión precisa de las identidades involucradas: colaboradores, administradores, proveedores de servicios, cuentas invitadas, buzones funcionales y aplicaciones que aún utilizan autenticación antigua.
Comience verificando que la autenticación moderna se utiliza en su entorno. Los protocolos antiguos no manejan correctamente el MFA y son un objetivo frecuente. Deben desactivarse cuando sea posible, después de identificar los equipos o aplicaciones que dependen de ellos.
Identifique también las cuentas con privilegios. Los administradores de Microsoft 365, los responsables de seguridad y las cuentas con acceso a datos sensibles deben protegerse primero. Para estos perfiles, una simple validación por SMS es rara vez el mejor nivel de protección.
Finalmente, prevea al menos dos cuentas de acceso de emergencia, a menudo llamadas cuentas "break glass". Están estrictamente reservadas para una situación en la que un error de configuración o una indisponibilidad del proveedor de identidad impidiera a los administradores acceder al tenant. Estas cuentas deben estar muy fuertemente protegidas, monitoreadas y probadas según un procedimiento documentado. No están destinadas a eludir las reglas diariamente.
Elegir métodos MFA según el nivel de riesgo
Microsoft Entra ID permite definir los métodos que sus usuarios podrán registrar. La elección correcta depende de la sensibilidad del puesto, la movilidad de los equipos, la madurez interna y sus limitaciones de cumplimiento normativo.
La aplicación Microsoft Authenticator generalmente ofrece un buen equilibrio entre seguridad y simplicidad. Las notificaciones con coincidencia de número reducen el riesgo de validación automática de una solicitud fraudulenta: el usuario debe ingresar en la aplicación el número mostrado en la pantalla de inicio de sesión. Los códigos de uso único generados por la aplicación siguen siendo útiles cuando las notificaciones no están disponibles.
Las claves de seguridad FIDO2 y las passkeys proporcionan una resistencia superior a los ataques de phishing. La autenticación está vinculada al sitio legítimo y no depende de un código que el usuario podría transmitir a un defraudador. Son particularmente indicadas para administradores, responsables financieros, equipos de IT y usuarios objetivo de ataques sofisticados.
SMS y llamadas telefónicas pueden facilitar la transición para algunos usuarios, pero presentan más riesgos, especialmente frente a fraudes relacionados con la transferencia de números. Pueden conservarse temporalmente como solución de respaldo, sin convertirse en el método de referencia para accesos sensibles.
Una política equilibrada puede basarse en cuatro principios:
- priorizar Authenticator con coincidencia de número para la mayoría de los colaboradores;
- imponer una clave FIDO2 o una passkey a las cuentas de administrador y perfiles de alto riesgo;
- prever un método de recuperación controlado para limitar bloqueos;
- restringir progresivamente los métodos más expuestos, en particular SMS.
Desplegar MFA sin perturbar las operaciones
El portal de administración de Microsoft Entra permite gestionar los métodos de autenticación y las políticas de acceso. Existen dos enfoques según las licencias y el nivel de control buscado.
Las configuraciones de seguridad predeterminadas son adecuadas para algunas estructuras pequeñas que no disponen de licencias que proporcionen acceso a políticas de acceso condicional. Activan una protección básica e imponen MFA en escenarios definidos por Microsoft. Esta opción mejora rápidamente la seguridad, pero deja poco margen para tratar casos especiales o construir una política adaptada a los riesgos empresariales.
Con Microsoft Entra ID P1 o una licencia que incluya esta capacidad, las políticas de acceso condicional permiten una estrategia más precisa. Puede exigir MFA según el usuario, la aplicación, la ubicación, el nivel de riesgo de conexión o el estado de cumplimiento del dispositivo. Este enfoque generalmente es más adecuado para empresas que utilizan intensamente Microsoft 365, equipos gestionados y aplicaciones cloud críticas.
El método de despliegue más confiable sigue siendo progresivo. Cree un grupo piloto que reúna usuarios representativos: personal administrativo, equipo de IT, teletrabajadores, usuarios móviles y responsables de negocio. Active los métodos elegidos, acompañe el registro, luego observe los fallos de conexión y las solicitudes de soporte durante algunos días.
Después de este piloto, amplíe el perímetro por grupos. Informe a los equipos antes de la activación, con instrucciones simples: fecha de aplicación, método a instalar, procedimiento en caso de cambio de teléfono y canal de soporte. Esta comunicación reduce los contornos y evita que MFA sea percibido como una decisión opaca.
Construir reglas de acceso condicional útiles
Una política MFA única para todos los casos es preferible a la ausencia de protección, pero no siempre responde a las realidades operacionales. El acceso a un buzón de correo desde un dispositivo personal, la administración del tenant y la consulta de un documento no sensible no presentan el mismo nivel de exposición.
En Microsoft Entra, comience con una regla que exija MFA para todos los usuarios, excluyendo solo las cuentas de emergencia preparadas para ello. Ponga la regla en modo informe solamente antes de su aplicación: podrá ver qué usuarios y qué aplicaciones se verían afectados, sin bloquear conexiones.
Luego agregue requisitos reforzados para roles administrativos. Lo ideal es exigir un método resistente al phishing para estas cuentas, mientras se limitan las sesiones y se evita el uso de una cuenta de administración para tareas rutinarias. Un administrador no debería consultar sus correos electrónicos o navegar por la web con la misma cuenta que la que modifica la configuración de seguridad.
Según su entorno, también puede exigir un dispositivo compatible para acceder a los datos más sensibles. Este requisito mejora el control de riesgos, pero supone una gestión de parque suficientemente madura. Si los dispositivos personales son indispensables, prevea una política distinta que limite los accesos en lugar de autorizarlos sin control.
Evite exclusiones demasiado amplias basadas en una dirección IP o un país completo. Una red de oficina no es automáticamente digna de confianza y los equipos viajan. Cada excepción debe justificarse, limitarse en el tiempo cuando sea posible, documentarse y revisarse regularmente.
Probar, monitorear y tratar incidentes
El despliegue no está completo cuando todos los usuarios han registrado una aplicación. Los registros de conexión de Microsoft Entra deben examinarse para identificar rechazos de MFA, ubicaciones inusuales, intentos repetidos y métodos de autenticación utilizados. Estas señales pueden revelar una campaña de phishing en curso o una cuenta ya objetivo.
Pruebe regularmente escenarios de recuperación. ¿Qué sucede cuando un colaborador pierde su teléfono, cambia de número o no puede usar más su clave de seguridad? Un procedimiento claro, con verificación de identidad por el soporte, protege al usuario sin ofrecer a los defraudadores una vía simple para reiniciar el acceso.
La capacitación sigue siendo también decisiva. Los usuarios deben saber que ningún miembro del soporte les pedirá validar una notificación inesperada. Una solicitud de MFA que no hayan iniciado debe ser rechazada e informada inmediatamente. Este reflejo convierte a cada colaborador en un punto de vigilancia adicional.
Para organizaciones que no disponen de un equipo dedicado a la gestión de identidades, un acompañamiento especializado permite evitar errores de diseño, pilotar excepciones y mantener las políticas frente a la evolución de las amenazas. SentriCorp ayuda a las empresas a hacer del MFA un verdadero control de defensa, integrado en la seguridad de dispositivos, correos electrónicos y accesos cloud.
La autenticación multifactor protege realmente cuando se concibe como una política viva: se adapta a los usos, impone un nivel de exigencia proporcional a los riesgos y es objeto de verificaciones regulares. Así es como una pantalla de validación simple se convierte en un baluarte concreto para la continuidad de sus operaciones.